Safer connections: reducing the security risks of the internet of things / Connessioni più sicure: riduzione dei rischi per la sicurezza di Internet delle cose
In an increasingly connected world, the safety and resilience of devices is more important than ever. A new report is highlighting the challenges of being smart on security.
When EM Forster exhorted his readers to “Only connect!” at the end of his novel Howards End, he couldn’t have imagined how connected we would all become barely a century later. Not only does ubiquitous internet mean that we are plugged into media services constantly, but it is becoming increasingly difficult to buy technology that is not ‘smart’ in some way. For most of these devices, that smartness derives from connectivity to the Internet and to other devices and systems.
The average UK house already contains around 15 connected devices, some obvious such as phones, laptops, tablets, televisions and smart meters, and some much less so, such as kettles, coffee makers, thermostats and switches. This number will only grow in the coming years.
The workplace, and particularly the manufacturing workplace, is even more connected. The rise of Industry 4.0 and the Internet of Things is seeing sensors and other monitoring equipment proliferate on almost every piece of equipment. Some of these are hardwired into IT systems that oversee and fine-tune the operation of machinery in the factory, while others – such as tools used on production lines in the automotive and aerospace industries – use wireless technologies to receive instructions to alter their operating parameters and to send data back to the factory IT systems.
All this poses risks that have not been seen before in either the domestic or workplace environments. From the earliest intimations of connected systems, the risk of incursion by digital criminals was foreseen by science fiction writers and other futurists, and cyber attacks are indeed a constant threat, with instances occurring in healthcare systems, critical infrastructure and in the entertainment industry.
But criminal activity is not the only threat. When everything is connected, knock-on effects from non-malicious IT outages can be severe; as was found with recent floods affecting electricity substations in Lancaster, which subsequently affected landline and mobile telecommunications, and an outage at British Airways caused by a power failure that threw schedules and reservations into chaos.
Against this background, the Royal Academy of Engineering recently launched a report into the safety and resilience of cyber systems, working alongside PETRAS, the EPSRC-funded Cyber Security of the Internet of Things (IoT) Research Hub.
Bringing together specialists from the universities of Warwick, Oxford, Surrey, Lancaster, Southampton and Cardiff with UCL and Imperial College in London, PETRAS (privacy, ethics, trust, reliability, stability and security) was set up in 2016. It is co-funded by industry and involves more than 120 academic, industrial and public sector partners, looking at social and technological issues, aiming to solve potential conflicting interests of government, industry and academia.
Safety and resilience are distinct issues, explained Nick Jennings, vice provost and professor of artificial intelligence at Imperial College, one of the report’s authors, at its launch. “Safety for us is what happens to a system when it’s operating normally. You want it to do particular things and not do other things under normal operation, and that’s how you construct any digital system. Resilience is where the system might be under stresses and strains and you want it to be able to recover from events, whether malicious or otherwise, and not end up in a bad state.”
Connected devices pose a dual risk in cybersecurity terms. The device itself can be penetrated and its data accessed, which can be a serious problem, sometimes in unexpected ways. For example, in the domestic environment, a robot vacuum cleaner could provide hackers with a floor plan of the home, and a thermostat could tell intruders whether a home was occupied. But this is not the only risk. If the device is connected to other systems – for example, a smart meter might have a link to the financial records of the house owner because of its use in billing – the hack could be used as a back door for “lateral movement” and financial cybercrime.
There are already examples of such lateral access being achieved in tests of hacking. For example, a wireless tyre pressure gauge manufactured by Bosch was used in a simulated hacking exercise to gain access to the engine management system and other software in a Mercedes car. The gauge is intended to give drivers useful information about the status of their vehicle, but this vulnerability was unforeseen.
In another automotive exercise, hackers found the problem with hacking into a Jeep’s systems wasn’t the hack itself, but confining the penetration to a single vehicle rather than a large number of them.
Cyber vulnerabilities have also been found in CT and MRI scanners, and in insulin pumps. In the TV thriller Homeland, one storyline saw a US politician assassinated by a hacker using his pacemaker to induce a heart attack; which is reputed to have so alarmed then US vice president Dick Cheney that he asked the Secret Service to assess the vulnerability of the software embedded in his own pacemaker. Pacemakers and insulin pumps send data wirelessly so that clinicians can monitor the health of their patients, but this could have the unintended consequence of rendering them vulnerable to attack.
Another of the report’s authors, Paul Taylor, UK lead partner for cyber security at KPMG, recalled a case where smart lightbulbs proved themselves to be a liability. Their original software – which has now been changed – allowed the first lightbulb plugged into a house to access the household’s Web ID and network passwords, which was then shared with all subsequent lightbulbs plugged into the circuit. “This was the system trying to be helpful,” he said. “It meant that you didn’t have to re-enter the details every time you put a new lightbulb in, but somebody figured out that you could pretend to be a lightbulb and get access to all these details. When that became clear, the software was replaced.”
Rachel Cooper, professor of design management and policy at Lancaster University, and theme lead at the PETRAS IoT Research Hub, highlighted another safety problem with connected systems. “We’ve done some research with a smart kettle, and we noticed it leaked data to a random server in Iceland,” she said. “You can download apps on your mobile phone so you can activate all these items in your home. So I’ve got the smart kettle app, and I can turn it on with an app I downloaded, but I can also turn it on from my sofa when it’s empty.”
If these vulnerabilities exist in domestic appliances, it’s easy to be alarmed by the potential for risk in the far more connected environment of an Industry 4.0-enabled modern factory. Paul Taylor, in conversation with The Engineer, said that cars are a good model for this because they are engineered to meet such exacting standards in terms of safety.
The RAeng/ PETRAS report, which aims to begin setting out guidelines to minimise such risks, states that configuration of connected devices is currently too difficult, and that manufacturers and distributors should be responsible for ensuring that devices are much more secure when they come out of the box. “If you’re buying a connected device, you ought to know what standard of safety it has been produced to meet, and it should be fit for purpose,” Taylor said. “We believe that government and regulation have a role to play here. Government has a great convening power both internationally and nationally to bring people together to start setting standards, whether those are going to be through the BSI (British Standards Institute), based on US NIST (National Institute of Standards and Technology) regulations, or through the Consumers’ Association. From there, it’s a short hop and skip to say we can start developing some common standards. We are actually quite good at that in the UK, so why shouldn’t we take the lead?”
Nick Coleman, chair of the IET information technology policy panel and former UK national reviewer cybersecurity for government, added another warning. “All of these standards have to be global, really, because we run global infrastructure with global supply chains and so you need to have clear interoperability between certifications,” he said. “Preferably we need as global an approach as we can.”
So if the manufacturer is responsible for standards, what is the responsibility of the user of connected equipment, whether that is in the home or in industry? A shift in thinking may be needed here. Previously, equipment has been regarded as ‘dumb’. But in the case of modern appliances, devices and equipment, many more things need to be thought of as computing devices, and these need the same sort of care as any other computer.
Specifically, security updates and fresh iterations of operating systems have to be downloaded and installed as they become available, and this can only be the responsibility of their owner. “If you say to someone, I’ve designed a smart kettle and have given it a label or a kitemark, the expectation is that you don’t go back and patch your kettle every couple of weeks even though you do on a computing device,” said Coleman.
Taylor went into more detail. “At the point of sale it should be quite clear to what level of security standards it has been built, if any, and what the process is for updating those security standards in the future, again if any. So ideally we’d like to see manufacturers being quite clear what security standards they use, when the standards exist, and how they can be updated. And then from that point, responsibility will pass across to the user to make sure that updates are uploaded and installed in a timely fashion to make sure that their equipment is as secure as it can be at that point in time, in the same way that you would with your own computer. You buy your laptop or tablet in a certain state and it’s your responsibility thereafter that you apply the patches and update the antivirus.”
Updating is particularly important for industrial systems, Coleman stressed, because unlike domestic appliances and personal devices, these tend to have a longer lifetime. “We need to remember that systems tend to last longer than you think they will, particularly in critical infrastructure; you might think ‘I will replace my smart phone every couple of years,’ but legacy technology in some of these systems lasts about 20 years, so we’re talking about building it now and getting a design right for the resilience as well as usability and other factors to consider, but we are also talking about its life-cycle: how does it get maintained, how does it get backed up.”
It’s also important to remember that industrial systems operate in a particular, and sometimes challenging, environment. “Think about it like an oil rig. It’s not sitting in a shiny office, these are systems that have to operate in the environment in which they are built, so you have to build resilience for that.”
The idea is to make helpful contributions towards increasing confidence in security and safety rather than running around with our hair on fire and saying don’t do it
It’s a challenging world, and it’s not going to get less complex. But it’s important not to lose sight of the advantages that connected technologies bring. “The first thing is to recognise putting digital and physical systems together in an integrated way is a good thing to do,” said Nick Jennings. “There’s lots of benefit that one can get from that in terms of monitoring, in terms of measuring, in terms of constantly interacting with systems, so that’s a good thing.”
Moreover, raising these concerns is not an attempt to scare people off, Taylor stressed. Factory owners are often nervous about installing new technologies like Industry 4.0 or IoT-enabled devices, and Taylor is anxious not to increase that anxiety. “I think it is the opposite: by raising concerns like this or the thinking we put in the reports of raising the issue of standards and of getting a common set of standards, that will help Industry 4.0 to become more easily adopted and more successful. The idea is to make helpful contributions towards increasing confidence in security and safety rather than running around with our hair on fire and saying don’t do it. That isn’t the idea at all.”
ITALIANO
In un mondo sempre più connesso, la sicurezza e la resilienza dei dispositivi è più importante che mai. Un nuovo rapporto mette in evidenza le sfide dell'essere intelligenti sulla sicurezza.
Quando EM Forster ha esortato i suoi lettori a "Only connect!" Alla fine del suo romanzo Howards End, non avrebbe potuto immaginare quanto saremmo diventati collegati un secolo dopo. Non solo Internet onnipresente significa che siamo costantemente collegati ai servizi multimediali, ma sta diventando sempre più difficile acquistare una tecnologia che non sia "intelligente" in qualche modo. Per la maggior parte di questi dispositivi, questa intelligenza deriva dalla connettività a Internet e ad altri dispositivi e sistemi.
La casa media del Regno Unito contiene già circa 15 dispositivi connessi, alcuni dei quali ovvio come telefoni, laptop, tablet, televisori e contatori intelligenti, e alcuni molto meno, come bollitori, macchine per il caffè, termostati e interruttori. Questo numero crescerà solo nei prossimi anni.
Il posto di lavoro, e in particolare quello di produzione, è ancora più connesso. L'avvento di Industry 4.0 e dell'Internet of Things sta vedendo la proliferazione di sensori e altre apparecchiature di monitoraggio su quasi tutti i dispositivi. Alcuni di questi sono cablati in sistemi IT che sorvegliano e regolano il funzionamento dei macchinari in fabbrica, mentre altri - come gli strumenti utilizzati nelle linee di produzione nell'industria automobilistica e aerospaziale - utilizzano le tecnologie wireless per ricevere istruzioni per modificare i loro parametri operativi e per inviare i dati ai sistemi IT di fabbrica.
Tutto ciò comporta rischi che non sono stati osservati prima nell'ambiente domestico o sul posto di lavoro. Dalle prime intuizioni dei sistemi connessi, il rischio di incursioni da parte di criminali digitali era previsto da scrittori di fantascienza e altri futuristi, e gli attacchi informatici sono in effetti una minaccia costante, con situazioni che si verificano nei sistemi sanitari, nelle infrastrutture critiche e nell'industria dell'intrattenimento.
Ma l'attività criminale non è l'unica minaccia. Quando tutto è collegato, gli effetti a catena di interruzioni IT non dannose possono essere gravi; come è stato riscontrato con recenti alluvioni che hanno colpito le sottostazioni elettriche di Lancaster, che hanno successivamente interessato le telecomunicazioni terrestri e mobili, e un'interruzione della British Airways causata da un'interruzione dell'alimentazione che ha gettato orari e riserve nel caos.
In questo contesto, la Royal Academy of Engineering ha recentemente lanciato un rapporto sulla sicurezza e la resilienza dei sistemi informatici, lavorando a fianco di PETRAS, l'hub di ricerca sulla Internet Cyber Security of Internet of Things (IoT) finanziato da EPSRC.
Riunendo specialisti delle università di Warwick, Oxford, Surrey, Lancaster, Southampton e Cardiff con l'UCL e l'Imperial College di Londra, PETRAS (privacy, etica, fiducia, affidabilità, stabilità e sicurezza) è stato creato nel 2016. È co- finanziato dall'industria e coinvolge oltre 120 partner accademici, industriali e del settore pubblico, che si occupano di questioni sociali e tecnologiche, con l'obiettivo di risolvere potenziali conflitti di interesse tra governo, industria e mondo accademico.
La sicurezza e la resilienza sono questioni distinte, ha spiegato al suo lancio Nick Jennings, vicepresidente e professore di intelligenza artificiale dell'Imperial College, uno degli autori del rapporto. "La sicurezza per noi è ciò che accade a un sistema quando funziona normalmente. Vuoi che faccia cose particolari e non faccia altre cose durante il normale funzionamento, ed è così che costruisci qualsiasi sistema digitale. La resilienza è il punto in cui il sistema può essere sottoposto a stress e tensioni e si desidera che sia in grado di ripristinarsi da eventi, dannosi o meno, e non finire in cattivo stato. "
I dispositivi connessi pongono un duplice rischio in termini di sicurezza informatica. Il dispositivo stesso può essere penetrato e il suo accesso ai dati, che può essere un problema serio, a volte in modi imprevisti. Ad esempio, in un ambiente domestico, un robot aspirapolvere potrebbe fornire agli hacker una piantina della casa e un termostato potrebbe dire agli intrusi se una casa fosse occupata. Ma questo non è l'unico rischio. Se il dispositivo è collegato ad altri sistemi - ad esempio, un contatore intelligente potrebbe avere un link ai registri finanziari del proprietario di casa a causa del suo uso nella fatturazione - l'hack potrebbe essere usato come una porta di servizio per "movimento laterale" e finanziario crimine informatico.
Esistono già esempi di tale accesso laterale durante i test di hacking. Ad esempio, un manometro per pneumatici wireless fabbricato da Bosch è stato utilizzato in un esercizio di hacking simulato per ottenere l'accesso al sistema di gestione del motore e ad altri software in un'auto Mercedes. Lo strumento è destinato a fornire ai conducenti informazioni utili sullo stato del loro veicolo, ma questa vulnerabilità era imprevista.
In un altro esercizio automobilistico, gli hacker hanno scoperto che il problema con l'hacking nei sistemi di una Jeep non era l'hack stesso, ma limitando la penetrazione a un singolo veicolo piuttosto che a un gran numero di essi.
Le vulnerabilità cyber sono state riscontrate anche negli scanner per TC e MRI e nelle pompe per insulina. Nel thriller televisivo Homeland, una trama ha visto un politico americano assassinato da un hacker usando il suo pacemaker per provocare un infarto; che si ritiene abbia così allarmato il vicepresidente americano Dick Cheney che ha chiesto al servizio segreto di valutare la vulnerabilità del software incorporato nel suo stesso pacemaker. I pacemaker e le pompe per insulina inviano i dati in modalità wireless in modo che i medici possano monitorare la salute dei loro pazienti, ma questo potrebbe avere la conseguenza involontaria di renderli vulnerabili agli attacchi.
Un altro degli autori del rapporto, Paul Taylor, partner principale nel Regno Unito per la sicurezza informatica presso KPMG, ha ricordato un caso in cui le lampadine intelligenti si sono dimostrate una responsabilità. Il loro software originale, che è stato modificato, ha permesso alla prima lampadina collegata a una casa di accedere all'ID Web e alle password di rete della famiglia, che è stata poi condivisa con tutte le lampadine successive inserite nel circuito. "Questo era il sistema che cercava di essere utile", ha detto. "Significava che non era necessario reinserire i dettagli ogni volta che si inserisce una nuova lampadina, ma qualcuno ha capito che si poteva fingere di essere una lampadina e avere accesso a tutti questi dettagli. Quando ciò è diventato chiaro, il software è stato sostituito. "
Rachel Cooper, docente di gestione del design e politica presso la Lancaster University e responsabile del tema presso l'hub di ricerca IoT di PETRAS, ha evidenziato un altro problema di sicurezza con i sistemi connessi. "Abbiamo fatto delle ricerche con un bollitore intelligente e abbiamo notato che trapelavano dati su un server casuale in Islanda", ha detto. "Puoi scaricare app sul tuo telefono cellulare in modo da poter attivare tutti questi elementi nella tua casa. Quindi ho l'app per il bollitore intelligente e posso accenderla con un'app che ho scaricato, ma posso anche accenderla dal mio divano quando è vuota. "
Se queste vulnerabilità esistono negli elettrodomestici, è facile allarmarsi per il potenziale rischio nell'ambiente molto più connesso di una fabbrica moderna abilitata per Industry 4.0. Paul Taylor, in una conversazione con The Engineer, ha affermato che le automobili sono un buon modello per questo perché sono progettate per soddisfare standard così esigenti in termini di sicurezza.
Il rapporto RAeng / PETRAS, che mira a stabilire le linee guida per minimizzare tali rischi, afferma che la configurazione dei dispositivi connessi è attualmente troppo difficile e che i produttori e i distributori dovrebbero essere responsabili di garantire che i dispositivi siano molto più sicuri quando escono dal la scatola. "Se stai acquistando un dispositivo connesso, dovresti sapere quale standard di sicurezza è stato prodotto per soddisfare, e dovrebbe essere adatto allo scopo", ha detto Taylor. "Crediamo che il governo e la regolamentazione abbiano un ruolo da svolgere qui. Il governo ha un grande potere di convocazione sia a livello internazionale che nazionale per riunire le persone per iniziare a stabilire degli standard, sia che si proceda attraverso il BSI (British Standards Institute), basato sui regolamenti del NIST statunitense (National Institute of Standards and Technology), sia attraverso l'associazione dei consumatori. Da lì, è un salto breve e salta per dire che possiamo iniziare a sviluppare alcuni standard comuni. In realtà siamo abbastanza bravi in questo, quindi perché non dovremmo prendere l'iniziativa? "
Nick Coleman, presidente del gruppo di esperti sulla tecnologia dell'informazione di IET e ex cybersecurity del governo nazionale britannico, ha aggiunto un altro avvertimento. "Tutti questi standard devono essere globali, in realtà, perché gestiamo l'infrastruttura globale con catene di approvvigionamento globali e quindi è necessario disporre di una chiara interoperabilità tra le certificazioni", ha affermato. "Preferibilmente abbiamo bisogno di un approccio globale che possiamo."
Quindi, se il produttore è responsabile degli standard, qual è la responsabilità dell'utente delle apparecchiature connesse, sia che si tratti di casa o nell'industria? Un cambiamento nel modo di pensare potrebbe essere necessario qui. In precedenza, l'attrezzatura è stata considerata "stupida". Ma nel caso di apparecchi, dispositivi e apparecchiature moderne, molte altre cose devono essere pensate come dispositivi informatici, e questi hanno bisogno dello stesso tipo di assistenza di qualsiasi altro computer.
In particolare, gli aggiornamenti di sicurezza e le nuove iterazioni dei sistemi operativi devono essere scaricati e installati non appena diventano disponibili, e questo può essere solo la responsabilità del loro proprietario. "Se dici a qualcuno, ho progettato un bollitore intelligente e gli ho dato un'etichetta o un kitemark, l'aspettativa è che non torni indietro e toppa il tuo bollitore ogni due settimane, anche se lo fai su un dispositivo informatico "Disse Coleman.
Taylor è andato più nel dettaglio. "Al punto di vendita dovrebbe essere abbastanza chiaro a quale livello di standard di sicurezza è stato costruito, se presente, e qual è il processo per aggiornare quegli standard di sicurezza in futuro, sempre se ce ne sono. Quindi idealmente vorremmo vedere i produttori che sono abbastanza chiari quali standard di sicurezza usano, quando esistono gli standard e come possono essere aggiornati. E da quel momento in poi, la responsabilità passerà all'utente per assicurarsi che gli aggiornamenti siano caricati e installati in modo tempestivo per assicurarsi che le loro apparecchiature siano sicure come può essere in quel momento, nello stesso modo in cui lo faresti con il tuo computer. Si acquista il laptop o il tablet in un determinato stato ed è quindi responsabilità dell'utente applicare le patch e aggiornare l'antivirus. "
L'aggiornamento è particolarmente importante per i sistemi industriali, sottolinea Coleman, perché a differenza degli elettrodomestici e dei dispositivi personali, questi tendono ad avere una durata maggiore. "Dobbiamo ricordare che i sistemi tendono a durare più a lungo di quanto pensiate, in particolare nelle infrastrutture critiche; potresti pensare 'sostituirò il mio smartphone ogni due anni', ma la tecnologia legacy in alcuni di questi sistemi dura circa 20 anni, quindi stiamo parlando di costruirlo ora e ottenere un design adatto alla resilienza e all'usabilità e altri fattori da considerare, ma stiamo anche parlando del suo ciclo di vita: come viene mantenuto, come viene sostenuto ".
È anche importante ricordare che i sistemi industriali operano in un ambiente particolare, a volte impegnativo. "Pensaci come una piattaforma petrolifera. Non è seduto in un ufficio lucido, questi sono sistemi che devono operare nell'ambiente in cui sono costruiti, quindi devi costruire resilienza per questo. "
L'idea è di fornire utili contributi per aumentare la fiducia in sicurezza e sicurezza, piuttosto che andare in giro con i nostri capelli in fiamme e dicendo di non farlo
È un mondo stimolante e non diventerà meno complesso. Ma è importante non perdere di vista i vantaggi che le tecnologie connesse portano. "La prima cosa è riconoscere che mettere insieme i sistemi digitali e fisici in modo integrato è una buona cosa da fare", ha affermato Nick Jennings. "C'è molto vantaggio che si può trarre da ciò in termini di monitoraggio, in termini di misurazione, in termini di interazione costante con i sistemi, quindi questa è una buona cosa."
Inoltre, sollevare queste preoccupazioni non è un tentativo di spaventare le persone, ha sottolineato Taylor. I proprietari delle fabbriche sono spesso preoccupati dell'installazione di nuove tecnologie come l'industria 4.0 o dispositivi abilitati a IoT e Taylor è ansioso di non aumentare tale ansia. "Penso che sia il contrario: sollevando preoccupazioni come questa o il pensiero che abbiamo inserito nei rapporti di sollevare la questione degli standard e di ottenere un insieme comune di standard, questo aiuterà l'Industria 4.0 a diventare più facilmente adottata e più efficace. L'idea è di fornire utili contributi per aumentare la fiducia in sicurezza e sicurezza, piuttosto che andare in giro con i nostri capelli in fiamme e dicendo di non farlo. Questa non è affatto l'idea. "
Da:
https://www.theengineer.co.uk/iot-security-risks/?cmpid=tenews_5311798&utm_medium=email&utm_source=newsletter&utm_campaign=tenews&adg=B69ABBDE-DA23-4BA2-B8C3-86E1E1A9FA79
Commenti
Posta un commento